פגיעויות קריטיות ב-PHP (PHP2Shell): מה קרה ומה לעשות

ב-21 באוקטובר 2026, צוות PHP משחרר עדכון אבטחה חירום. הוא מתקן שתי פגיעויות קריטיות במתורגמן ה-PHP עצמו המאפשרות לתוקף לבצע קוד בשרת מרחוק. הפגיעויות כבר קיבלו את השם הלא רשמי PHP2Shell.

אתרי האינטרנט שלכם ממשיכים לפעול. להלן מה שקרה, מי מושפע, מה כבר עשינו ומה אתם צריכים לעשות.

מה קרה

צוות האבטחה של PHP הודיע ​​על תיקונים לשתי פגיעויות קריטיות. שתיהן מדורגות ב-9.2 מתוך 10 בסולם CVSS v4.0. החוקרים עוקבים אחריהן כ-CVE-2026-109618 ו-CVE-2026-109619.

התיקונים ישוחררו ב -21 באוקטובר בשעה 14:00 UTC (17:00 שעון מוסקבה) . השחרור תוכנן במקור ליום לאחר מכן, אך פרטי הפגיעויות דלפו מוקדם מהצפוי, ו-PHP הקדימה את השחרור. לפי Patchstack, ספקי אירוח כבר דיווחו על ניסיונות ניצול בבוקר ה-21 באוקטובר.

מי מושפע

הפגיעות אינה במערכת ניהול תוכן (CMS) או תוסף, אלא ב-PHP עצמו. כל אתר אינטרנט שמפעיל גרסת PHP פגיעה נמצא בסיכון: WordPress, WooCommerce, Joomla, Drupal, 1C-Bitrix, Magento, Laravel ופרויקטים שנבנו בהתאמה אישית. עדכון מערכת ניהול התוכן והתוספים אינו מגן מפני בעיה זו.

על פי דיווחים ראשוניים, כל הגרסאות מ-PHP 5.4 ואילך מושפעות. תיקונים רשמיים יפורסמו רק עבור ענפים נתמכים:

PHP תפרסם את הרשימה המדויקת של הגרסאות המושפעות והתוקנות יחד עם הגרסה. נעדכן מאמר זה ברגע שיהיה זמין.

מה ידוע ומה טרם נחשף

PHP טרם פרסמה פרטים טכניים. כל מה שידוע עד כה נובע מהדלפה ומניתוח של חוקרים עצמאיים:

• הפגיעויות מאפשרות ביצוע קוד שרירותי בשרת ללא אימות - מספיקה בקשה שנוצרה במיוחד לאתר האינטרנט;
• לפחות אחד מהם קשור למנגנון מעקב אחר התקדמות העלאת הקבצים (session.upload_progress), אשר מופעל ב-PHP כברירת מחדל;
• לפי חוקרים, השני נמצא במטפל העלאת הקבצים ואינו תלוי בהגדרה זו.

לא אושר רשמית עד לפרסום:

• תיאור מדויק של הפגיעויות ותנאי התקיפה;
• רשימת הגרסאות המושפעות והתוקנות;
• אינדיקטורים של פשרה (IoCs).

מומחי אבטחה צופים התקפות המוניות תוך דקות ספורות מפרסום התיקונים: על ידי השוואת הקוד הישן והחדש, התוקפים יבינו במהירות כיצד פועלת הפגיעות. זו הסיבה שאסור לדחות את העדכון.

מה אנחנו עושים

מבלי להמתין לשחרור הרשמי, נקטנו באמצעים בכל התשתית שלנו:

1. נוספו כללי סינון בקשות שחוסמים את תרחיש ההתקפה הידוע. זהו מדד מוגבל: חלק מההתקפות עשויות לעקוף את המסנן, כך שזה רק קונה זמן עד לעדכון.
2. ניטור מוגבראנו עוקבים אחר פעילות חשודה של תהליכי PHP בשרתים שלנו וקריסות PHP שעשויות להצביע על ניסיונות תקיפה.
3. הכנתי את עדכון ה-PHP. ברגע שהגרסה תצא, נתקין את הגרסאות המתוקנות עבור ענפים 8.2-8.5 בכל שרתי האירוח השיתופיים. נעדכן אתכם בנפרד לאחר השלמת העבודה.

אמצעים זמניים מפחיתים את הסיכון אך אינם מבטלים לחלוטין את הפגיעות. ההגנה האמינה היחידה היא עדכון PHP.

מה אתה צריך לעשות

אם אתם משתמשים באחסון משותף

אנחנו מטפלים ברוב העבודה בעצמנו. כל מה שאתם צריכים לעשות הוא:

1. בדוק את גרסת ה-PHP שלך במקטע הגדרות PHP בלוח הבקרה של כל אתר אינטרנט.
2. אם הגרסה היא 8.2 או מאוחרת יותר, אין צורך בפעולה: נתקין את הגרסה המתוקנת באופן אוטומטי.
3. אם הגרסה היא 8.1 או גרסה ישנה יותר, העבר את האתר ל-PHP 8.2 או גרסה מתקדמת יותר (ראה סעיף הבא).
4. אל תפעיל מחדש session.upload_progress בהגדרות ה-PHP שלך, גם אם הוראות התוסף מציעות זאת.

אם יש לך VPS או שרת ייעודי

בשרתים VPS ושרתים ייעודיים, אתם מנהלים את PHP בעצמכם, ואנחנו לא יכולים לעדכן אותו עבורכם. בצעו את הפעולות הבאות בהקדם האפשרי:

1. מצא את כל גרסאות ה-PHP המותקנות בשרת. קחו בחשבון שלוחות בקרה (ISPmanager, cPanel, Plesk, FastPanel ואחרים) שומרים לעיתים קרובות מספר גרסאות בו זמנית.
2. השבתת מעקב אחר התקדמות ההעלאה עד שיצא העדכון. עבור PHP-FPM, הוסף שורות אלו לתצורה של כל מאגר, לדוגמה /etc/php/8.3/fpm/pool.d/www.conf: php_admin_flag[session.upload_progress.enabled] = off php_admin_flag[session.use_strict_mode] = on אם PHP פועל כמודול Apache (mod_php), הגדר את הפרמטרים הבאים ב- php.ini ולהפעיל מחדש את אפאצ'י. לא ניתן לשנות הגדרה זו מקוד עם ini_set().
3. הפעל מחדש את PHP-FPM ובדוק את התוצאה: צור קובץ המכיל <?php phpinfo(); בשורש האתר, פתח אותו בדפדפן וודא session.upload_progress.enabled כבוי. מחק את הקובץ מיד לאחר מכן. בדיקה עם php -i בקונסולה לא עובד - הוא מציג את הגדרות שורת הפקודה, לא את הגדרות שרת האינטרנט.
4. עדכון PHP ברגע שהחבילות המתוקנות יופיעו במאגר של ההפצה או לוח הבקרה שלך. לאחר מכן הפעל מחדש את PHP-FPM או Apache - ללא הפעלה מחדש, הגרסה הישנה תמשיך לפעול.

לדברי החוקרים, השבתה session.upload_progress סוגר רק אחת משתי הפגיעויות. זהו אמצעי זמני, לא תחליף לעדכון.

אם האתר שלך פועל על PHP 8.1 או גרסה ישנה יותר

גרסאות PHP 8.1 וענפים ישנים יותר הגיעו לסוף חייהם ולא יקבלו תיקון רשמי. אתרים אלה יישארו פגיעים עד שיעברו לגרסה נתמכת.

1. תכננו את המעבר שלכם ל-PHP 8.2 או גרסה מתקדמת יותר. אנו ממליצים על PHP 8.4. שימו לב שענף 8.2 מקבל תיקוני אבטחה רק עד ה-31 בדצמבר 2026.
2. בדוק תאימות בעותק של אתר האינטרנט שלך. מעבר בין ענפים הוא הגירה, לא עדכון פשוט: גרסאות ישנות יותר של CMS, ערכות נושא ותוספים עשויות לא לעבוד על PHP חדש יותר. עדכן תחילה את CMS וההרחבות שלך, ולאחר מכן החלף את גרסת ה-PHP.
3. אם אינך יכול לעבור במהירות, הסר את האתר מגישה לציבור עד להשלמת ההעברה: הגבל את הגישה באמצעות כתובת IP, באמצעות סיסמה או דרך VPN.

אם קשה להעריך את התאימות בעצמך, צור קשר עם צוות התמיכה שלנו - אנו נעזור עם ההעברה.

כיצד לבדוק האם אתר האינטרנט שלך נפרץ

ההתקפות החלו לפני שהתיקון יצא, לכן לאחר עדכון PHP כדאי לוודא שהאתר שלכם לא נפגע מוקדם יותר. שימו לב במיוחד לתקופה שמאז 20 באוקטובר.

1. בדוק את קבצי האתר שלך עבור קבצי PHP לא מוכרים, במיוחד בתיקיות העלאה, מטמון וזמניות. התבונן היטב בקבצים שהשתנו לאחר 20 באוקטובר.
2. בדיקת עבודות cron עבור ערכים לא מוכרים.
3. בדיקת חשבונות מנהל מערכת במערכת ניהול התוכן (CMS) שלכם, וב-VPS, משתמשי המערכת ומפתחות הזנה ~/.ssh/authorized_keys.
4. סקירת יומני שרת האינטרנט עבור בקשות POST חשודות עם העלאות קבצים, במיוחד לכתובות URL שלא אמורות לקבל העלאות.
5. בשרת VPS, בדקו את התהליכים: תהליכי PHP-FPM או Apache לא אמורים להיפתח sh, bash, curl, wget, nc, python or perl.
6. הפעל סריקת תוכנות זדוניות של אתר האינטרנט שלך באמצעות לוח הבקרה או סורק ייעודי.

אם אתם מוצאים משהו חשוד, אל תמחקו קבצים באופן מיידי: שמרו עותקים ויומני רישום, שנו את סיסמאות ניהול התוכן (CMS), מסד הנתונים וה-FTP/SSH שלכם, וצרו איתנו קשר.

זקוק לעזרה?

לא בטוחים באיזו גרסת PHP האתר שלכם משתמש, צריכים עזרה במעבר לענף חדש יותר, או שמצאתם משהו חשוד בשרת שלכם? צרו קשר עם צוות התמיכה שלנו - נפתור את זה יחד.

נעדכן מאמר זה לאחר ש-PHP תפרסם את הפרטים הרשמיים ומספרי הגרסה המתוקנים, ונודיע לכם בנפרד כאשר העדכונים יותקנו בשרתים שלנו.